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@ Vorrichtung und Verfahren zum Bedienen eines Gerates 

@ Vorrichtung zum Bedienen eines Gerates, mit 

- einem Server (10), der dazu eingerichtet ist, Daten an ei- 
nen anschiieBbaren Browser (40) zu senden und von die- 
sem zu empfangen, um durch den anschliefSbaren 
Browser (40) eine Benutzeroberflache zum Bedienen des 
Gerates bereitzustellen, 

- einem serverseitig vorgesehenen Oberwachungsmo- 
dul (20) zum Ausfuhren von ObenA/achungs- und Verwal- 
tungsaufgaben, 

- sen^erseitig vorgesehenen Mittein (24, 26, 28, 30) zur 
Kommunikation zwischen dem Server (10) und dem 
Oberwachungsmodul (20), 

- mehreren Steuer-, Wartungs- und/oder Oberwachungs- 
programmen (14, 16), und 

- serverseitig vorgesehenen Mittein (12) zur Kommunika- 
tion zwischen den Steuer-, Wartungs- uncl/oder UbenA/a- 
chungsprogrammen (14, 16) einerseits sowie dem Sen/er 
(10) und/oder dem ObenA^achungsmodul (20) anderer- 
seits, wobei 

- das Oberwachungsmodul (20) dazu eingerichtet ist, ein 
Verzeichnis (22) der jeweils aktiven Steuer-, Wartungs- 
und/oder ObenA/achungsprogramme (14, 16) zu spei- 
chem und laufend zu aktualisieren. 
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Beschreibung 

[0001] Die Erfindung betrifft eine Vomchtung und ein 
Verfahrcn zum Dedienen eines Cerates, insbesondere eines 
komplexen medizinischeD Gerates wie beispielsweise eines 5 
Tomographiegerates oder eines Angiographiegerates. Der 
Begriff "Bedienen" ist im weitesten Sinne zu verstehen und 
umfaBt insbesondeie das Steuem, Einsteilen, Waiten, An- 
passen und/oder Oberwachen des Gerates. 
[0002] KompLexe Gerate wie die obea genannten bedOr- io 
fen der regelmaBigeo Wartung. Dazu sind bisher spezielle 
Programme eingesetzt worden, die es im Dialog mit dem 
Wartungsingenieur ermdglichen, Messungen durchzufiih- 
ren, interne Parameter einzustellen oder andere Punktionen 
auszufuhren. IS 
[00031 Seiche speziell piogrammierte Wartungsanwen- 
dungen sind jedoch weoig flexibel, wena die Brautzerober- 
flacbe neu gestaltet oder eine andere Rechneiplattform ein- 
geselzL WGidesa solL Zur Femwariung des Gerates mufi mit 
hohem Aufwand eine AnzeigenumleiLung eingraichlet wer- 20 
den. 

[0004] Es isl bereits allgemein voigeschlagen warden. Be- 
nutzeroberflSchen als HTML-Dokumente (HIML = Hyper- 
text Marioip Language; Ibxtauszeichnungsspracbe mit 
Querverweis-Funktionen) zu realisieien. Diese Dokumente 2S 
w^xien von einem bdcannten WWW-Sorver (WWW = 
Worid Wide Web) bereitgcstellt, in einen bekannten WWW- 
Browser geladen und von diesem angezeigt. 
[0005] Diese Art der Implementierung dner Benutzer- 
oberflSche ist jedoch bisher nur fi!r einfache und unkritische 30 
Steueraufgaben eingesetzt worden. Sicherheitsrelevante 
oder interaktive Funktionen, wie sie zur Wartung komplexer 
Systeme unabdingbar sind, konnten nicht oder nur unzurei- 
chend verwiiklicht werden. l^chtige Aspekte sind dabei ein 
zuverlSssiger Zugiiffeschutz gegen unbetechtigte Benut- 35 
zung, eine angemessene Behandlung von Hardwarest5run- 
gen, beispielsweise Veibindungsabbruchen, und die Mog- 
lichkeit, den Ablauf eines Ptogranuns interaktiv zu beein- 
flusscn. 

[0006] Dec Artikel "The Ultimate Middleware" von John 40 
Karior in der Zcitechrift BYTR, April 1996, Scitcn 79-83, 
bcschrciht die Vcrwcndung von Dicnstcn des WWW (World 
Wide Web) als Ersatz fiir cine sogenanntc "Middleware", 
um zcntralc Datcnbankcn abzufragcn. Der Aufbau dcrarti- 
gear Systeme ist nur kursorisch beschrieben. 45 
[0007] Aus der US 5 572 652 ist ein Arbeitsplatzrechner 
bdcannt, bei dem Kennworto: fiir unterschiedliche Zugrif^ 
betechtigungsstufen verwendet weiden. 
[0008] Auf Seiten 7-73 und 7-74 des Berichts "Mikro- 
comput^ in der Sicheriieitstechnik" von II. Ilolscher und J. 50 
Radar, Verlag TUV Rheinland, Koln 1984, ist ein Vo^ahren 
der zeitlichen Programmlaufuberwachung beschrieben, bei 
dem ein "Watchdog-Hmer" Alarm gibt oder das System ab- 
schaltet, wenn er nicht iimerhaib eines vorbestimmten Zeit- 
fensters durch einen geeigneten Programmbefehl nachge- 55 
triggert wird. 

[0009] Aufgabe der Erfindung ist es, eine Vonichtung und 
ein Verfahren bereitzusteUen, um die Bedienung eines Gera- 
tes mit sicherheitsrelevanten oder interaktiven Funktionen 
flexibel und mit geringem Programmieraufwand zu ermog- GO 
lichen. Insbesondere sollen moglichst weitgehend Standard- 
module eingesetzt werden konnen. 

[OOlOJ tirfindungsgemaB wird diese Aufgabe durch eine 
Vorrichtung und ein Verfahren nach den Anspriichen 1 be- 
ziehungsweise 11 gelost. 65 
[OOU] Die Erfindung beruht auf der Grundidee, ein zen- 
trales tJberwachungsmodul ("watchdog") auf der Server- 
seiLe vorzusehen, das von alien wesenilichen M^igangen im 
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System unterrichtet wird und in Zusammenwirken mit dem 
Browser und wdteren Systemkomponenten die gewiinsch- 
ten Funktionen realisiert. 

[0012] Durch die Erfindung wird es moglich, die oben be- 
schriebene Tecfanik der Implementierung einer Benutzer- 
oberflache durch IITMLrDokumente auch fiir kompiexe 
Gerate einzusetzen, bei denen sicherheitsrelevante oder in- 
teraktive Funktionen erforderlich sind. Die Erfindung ist fiir 
aUe Arten von Geraten ^nsetzbar. 

[0013] Weil fur HTML-Dokumente komfortable Entwick- 
lungswerkzeuge existieien, kann die Benutzeroberflache 
von dem Designer direkt als HTML-Dokument entworfen 
und bei Bedarf flexibel geSndeit werden. Der bisher eifor- 
derliche Schrittdes Ptogrammierens d^ Benutzeroberflache 
entfallt 

[0014] Der Datenaustausch zwischen dem Server und dem 
Browser ist ubta* eine SchniUstelle auf vielerlei Anen mog- 
lich. Der Browser kann lokal, beispielsweise uber ein Ver- 
bindungskabel, an das Gerat angeschlossen sein. Im Ex- 
Iremfall laufen der Server und dsr Browser als zwei Pro- 
zesse auf einem einzigen Rechner. Aucdi eine nichl-lokale 
Verbindung (beispielsweise eine Modemverbindung) ist 
ohne individuellen Programmieraufwand m&glich, well 
WWW-Server und WWW-Browser schon von vomherein 
fiir einen Client-Server-Betrieb ausgelegt sind. 
[0015] Die Erfindung weist bevorzugt einen oder mehrere 
der folgenden drei Aspekte auf, die nichi notwendigerweise 
an die erfindungsgemaBe Systemstruktur gebunden sind: 

1. S^griffskontrolle auf die einzelnen Ger9tefunktio- 
nen, 

2. !&kennen von VerbindungsabbrUchen, und 

3. Bereitstellen interaktiver Fimktionen. 

[0016] Zur ZugriffskontroUe sind vorzugsweise serversei- 
tige Komponenten des Systems dazu eingerichtet, eine Au- 
thentifiziening der Berechtigung eines Benutzers durchzu- 
ftihren. Erst bei erfolgreicher Authentifizierung erhalt der 
Bcnutzcr Zugriff auf die Bcdicnohcrflachc. 
[0017] Das Erkennen von Verbindungsabbriichen erfolgt 
vorzugsweise dadurch, daB das laufcndc Rintrcflfcn pcri- 
odischcr, vom Browser gcscndctcr Nachrichtcn ("Ping- 
Nachrichtcn") ubcrwacht wird. Blcibcn die Ping-Nachrich- 
tcn aus, so werden vorzugsweise allc laufcndcn Prozcssc ab- 
gebrochen. 

[0018] Der Server startet Programme vorzugsweise uber 
eine CXjI-Schnittstelle (CGI = Common Gateway Interface; 
StandardschnittsteUe bei WWW-Servem zum Aufiuf exter- 
ner Programme) oder auf eine andere geeignete Art. 
[0019] Das erfindungsgemaBe Verfahren beruht auf dem 
Grundprinzip, ein durch den Servor aufgerufenes Programm 
vorzusehen, das Daten mit dem Uberwachungsmodul aus- 
tauscht und daim eine gewiinschte Aktion ausfuhrt, Damit 
las sen sich die oben g«iannten Funktionen mit geringem 
Programmieraufwand erzielen. 

[0020] Weitere bevorzugte Ausgestaltungen der Erfin- 
dung sind in den iibrigen Unteranspriichen definiert. 
[0021] Unter Hinweis auf die Zeichnungen wird nun ein 
Ausfuhnmgsbeispiei der Erfindung beschrieben. Es handeit 
sich dabei um ein Wartungssystem fiir ein medizinisches 
Gerat. Hs zeigen: 

[0022] Fig. 1 ein Datenflufldiagramm des erfindungsge- 
maBen Systems, 

[0023] Fig. 2 ein Zustandsiibergangsdiagramm eines typi- 
schen Ablaufs des erfindungsgemaBen Systems, und 
[0024] Ffe. 3 und Fig. 4 DatenfluBdiagramme beim Star- 
ten und Abbrechen eines Wartungsprogramms. 
[0025] In Fig. 1 sind unterhalb der gestrichellen Linie die- 
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jenigen Komponenten des erfindungsgemaBen Systems dar- 
gesteUt, die einem zentraien Hostrechner des zu bedienen- 
den Cerates zugeotdnet sind (serverseitige Komponenten). 
Ein WWW-ScTver 10 vcrmag Verbindungsprogramme 12 
iiber eine CGI-Schnittstelie aufeurufen. Die Verbindungs- -S 
programme 12 starten ihrerseits Wartungsprogramme 14 
und sind mit diesen wahrend des Programmabiaufs iiber den 
IPC-Mechanismus (IPC = Inter-process Communication; 
Kommunikation zwischen Prozessen) verbunden. 
[0026] Jedes Wartungsprogramm 14 fiihrt eine oder meh- lo 
rere Wartungsfunktionen aus und ruft Steueiprozesse 16 des 
zu bedienenden Cerates iiber den RPC-Mechanismus (RPC 
= Remote Procedure Call; nicht-lokaler Prozeduraufruf) auf. 
Die Steuerprozesse 16 sind Telle der Steuerung des zu be- 
dienenden Cerates; sie dienen beispielsweise zum Durcb- 15 
fiihren von Messungen an Hardwarebaugnippen. 
[00271 Der Server 10, die Wartungsprogramme 14 und die 
Steuerprozesse 16 des zu bedienenden Cerates sind mit ei- 
ner oder mehreren DaLenbanken 18 verbunden, die glob ale 
Sleuerdaten fiir das zu bedienende Cerat, Warlungsergeb- 20 
nisse, HandbuchdaLeien und so weilet enlhalten. 
[0028] Ein zenlrales "Oberwachungsmodul 20 weisl ein 
Verzeichnis 22 gegenwarug aktiver Programme (Verbin- 
dungsprogramme 12, Wartungsprogramme 14 und sonstige 
Programme) auf und ist durch den IPC-Mechanismus mit 25 
den Verbindungsprogrammen 12 sowie mit einem Startpro- 
gramm 24, einem Authentifizierungsprogramm 26, einem 
Ping-Programm 28 und einem Abbruchprogramm 30 ver- 
bunden. Die Letztgenannten vier Programme werden ihrer- 
seits iiber die CCI-Schnittstelle des Servers 10 aufgenifen. 30 
Das tJberwachungsmoduI 20 fiihrt im Zusammenspiel mit 
den CCI-Ftogrammen 12, 24, 26, 28 und 30 und dem Server 
10 eine ^elzahl von Oberwachungs- und Verwaltungsauf- 
gaben aus, die uncen genauer beschrieben werden. 
[0029] Eine Schnittstelle 32 verbindet den Server 10 mit 3S 
einem WWW-Browser 40, der in Fig» 1 oberhalb der gestri- 
chelten linie gezeigt isL Die Verbindung zwischen dem Ser- 
ver 10 und dem Browser 40 erfolgt uber das HTTP-Proto- 
koll (HTTP = Hypertext TVansfcr Protocol). In dem hicr bc^ 
schriebenen Ausftihrungsbeispiel ist der Browser 40 lokal 40 
dem 731 bedienenden Gcrat zugcordnct Tn dncr AusfUh- 
ningsaltcmativc ist der Browser 40 auf cincm cxtcmcn 
Rcchncr installicrt, beispielsweise auf dncm gcbrauchli- 
Chen Notebook, das uber cine PPP- Verbindung (PPP = 
Point-to-point Protocol) an den Server 10 angeschlossen ist. 45 
Ein Schutz gegen f^erhafte tlbertragung oder Manipula- 
tionen kann durch Prlifsummen oder eine Verschliisselung 
der iibertragenen Daten erreicht werden. 
[0030] Der Browser 40, beispielsweise der unter der 
Marke "Netscape Navigator" bekaimte, vermag ASCH- und SO 
irrML-Seiten anzuzeigen, Programme in JAVA und JA- 
VASCRIPT auszufuhren und Eingaben des Benutzers an 
den Server 10 zu ubermittcln. Ais Hauptaufgabe stellt der 
Browser 40 durch Anzeigen einer spezielien HIML-War- 
tungsseite eine Benutzeroberfiache fur das zu bedienende 5S 
Gerat zur Verfiigung, Oberdies sind iiber den Browser 40 
eine Online-Dokumentation sowie weitere Programme auf- 
rufbar. 

[0031] Die vom Browser 40 angezeigte HTML-Wartungs- 
seite ist logisch unterteilt in einen sichtbaren Rahmen CO 
(Frame) 42, einen dem Benutzer verborgenen, ersten stati- 
schen Rahmen 44 und einen verborgenen, zweiten stati- 
schen Rahmen 46 mit temporarem Inhalt Die unsichtbaren 
Rahmen 44 und 46 enthalten Daten, JAVASCRIPT-Pro- 
granune und JAVA- Applets. 65 
[0032] Die HTML-Wartungsseite wird nur ein einziges 
Mai, namHcb zu Beginn des Wartungsvorgangs, voUstandig 
in den Browser 40 geladen. Spaler werden ledigiich der 
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sichtbaie Rahmen 42 und der Inhalt des zweiten statischen 
temporaren Rahmens 46 iiberschrieben. Der statische Rah- 
men 44 wird wahrend des Wartungsvorgangs nicht iiber- 
schrieben, so daB die in ihm gespeichertoi Daten erhalten 
bleiben. Die in dem sichtbaren Rahmen 42 angezeigten und 
in dem ersten statischen Rahmen 44 gespeicherten Informa- 
tionen konnen durch geeignete JAVASCRIPT-Programme, 
JAVA- Applets oder sonstige Mittel verandert werden. Der 
zweite statische Rahmen 46 wird geladen, um Variable und/ 
oder Felder im ersten statischen Rahmen 44 und/oder im 
sichtbaren Rahmen 42 zu andem. Vorzugsweise wird eine 
neue HTML-Seite mit JAVA-Script-Programmen, JAVA- 
Applets oder sonstigen Mitteln in den zweiten statischen 
Rahmen 46 geladen und automatisch zur Ausfuhrung ge- 
bracht. Die HTML-Seite wird vor allem auch von einem 
CCI-Progranun dynamisch generiert. Der Vorteil des zwei- 
ten statischen Rahmens 46 beslehl darin, daB zur AkUialisie- 
rung des sichtbaren Rahmens 42 und des ersten statischen 
Ralmiens 44 nicht die voUstiindigen Rahmen 42, 44 vom 
Server 10 ubertragen werden miissen, sondem nur noch die 
Variablen darin gesetzl werden. Daraus ergeben sich schnel- 
lere tjbertragungszeiten, da nur Anderungen ubertragen 
werden. Au£erdem wird ein fUr den Benutzer st6rendes 
sichtbaies Nachladen des sichtbaren Rahmens 42 vermie- 
den. 

[0033] In dem statischen, verborgenen Rahmen 44 sind er- 
stens h^ufig ben6tigte Hilfsprogramme gespeichert, die auf 
diese Weise nicht wiederfaolt geladen zu werden brauchen. 
Zweitens dient dieser Rahmen zum Speichem globaler 
Werte, die wahrend der gesamten Systemlaufzeit erhalten 
bleiben sollen, beispielsweise eines wahrend des Startens 
des Systems an den Browser 40 iibertragenen, sitzungsab- 
hangigen Schliissels. Drittens enth^t dieser Rahmen einen 
Ping-ProzeB 48 als JAVASCRIPT-Programm oder JAVA- 
Applet, der periodische Ping-Meldungen an den Smver 10 
ausgibt. Diese Komponoiten werden unten genauo: be- 
schrieben. 

[0034] Das in Fig. 2 gezeigte Zustandsiibeigangsdia- 
gramm stcllt die Zustandc wahrend des Bctricbs des bc- 
schriebenen AusfOhrungsbeispids und die diese ZustSnde 
vcrbindcndcn Hrcignissc (Obcig^ngc) dar. Bcim Hochfah- 
ren des Systems werden zun&chst der Server 10 und dann 
das t)bcrwachungsmodul 20 gcstartct und somit. der Zu.stand 
50 durchlaufen und dor Zustand 52 erreicht Das Auftrctcn 
eines Fehlers fiihrt zu einem Fehlerzustand 54» der durch dn 
manuelles Riicksetzen wieder vedassen werden kann. 
[0035] Auf einen Befehl des Benutzers zum Starten der 
Benutzeroberflache wird der Browser 40 aufgenifen (Zu- 
stand 56), der eine entsprechende Nachricht Ub^ die 
Schnittstelle 32 an den Server 10 sendet. Der Server 10 ruft 
daraufhin das Startprogramm 24 auf» das seinerseits fiber 
IPC das tJberwachungsmodul 20 benachrichtigt. Da es sich 
bei dem hier gegebenen Beispiei um einen lokal angeschlos- 
senen Browser 40 handelt, muB die Authentifizierung des 
Benutzers noch erfolgen. Diese Information wild an den 
Server 10 zuriickgegeben, der daraufhin eine allgem^e 
HTML-Startseite an den Browser 40 iibermittelt, die dem 
Benutzer angezeigt wird. 

[0036] Wenn der Benutzer von der allgemeinen HTML- 
Startseite auf die Wartungsfunktionen des Systems zugrei- 
ten mochte, muB er zur Authentifizierung (Zustand 58) sei- 
nen Benutzemamen und ein Kennwort eingeben. Diese wer- 
den vom Browser 40 iiber die Schnittstelle 32 an den Server 
10 und von dort an das Authentifizierungsprogramm 26 
ubermittelt. Letzteres iiberpriift, gegebenenfalls in Abstim- 
mung mit weiteren Progranunen, die eingegebenen Authen- 
dfizierungsdaten nach einer Vielzahl von Kriterien. 
[0037] Es werden anlagenabhUngige, variable KennwOrter 
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mit einstcllbarer Gultigkeitsdauer verwendet. Aufiexdem 
sind imterschiedlichen Benutzein imterscbiedlicbe Zugiiffs- 
beiechtigungsstufen zugeoidnet, so daB bestimmte Funktio- 
ncn nur von besonders autorisiolen Benutzern aufgenifen 
werden konnen. Die fur einen Benutzer moglichen Fvinktio- 
nen hangen iiberdies von dner am zu bedienenden Gerat 
eingestellten Freigabestufe ab, die jedeizeit geandeit wer- 
den kann. Das Uberwachungsmodul 20 hat Zugriff aiif die 
jeweils aktuelle Freigabestufe. Beispielsweise konnen be- 



nutzers und der Freigabestufe des zu bedienenden Cerates, 
Optionen zur Anwahl gegeben. 

[0043] Insbesondere kann der Benutzer durch Anwahl ei- 
ner entsprechenden Option ein ^^rtungsprogramm 14 star- 
ten. Bei diesem in Fig, 3 genauer daigesteliten \bigang sen- 
det der Browser 40 cine geeignete Nachricht an den Server 
10 (Datenstrom 80), wodurch ein Verfoindungsprogramm 12 
aufgerufen wird OI)atenstiom 82). Dieses firagt zunachst 
beim tiberwachungsmodul 20 an (Datenstrom 84), ob der 



stimmte Wartungsfunktionen nur bei einem lokal ange- 10 BenutzerdieBerechtigungzumAusfuhrendesgewunschten 

schlossenen Browser 40 fieigegeben sein. Wartungsprogramms 14 hat. Diese Berechtigung hangt von 

10038J Falls die Authentifizierung erfolgreich ist, ubermit- der Zugiifisbeiechtigungsslufe des Benutzers und von der 

telt der Server 10 dem Browser 40 die HTML-Wartungs- Freigabestufe des zu bedienenden Geiates ab. 

seite, durch die die Benutzeroberflache implementicrt ist L0044J Wenn der Benutz^ berechtigt ist (Datenstrom 86), 

(Zustand 60). Femer generiert das t)berwachungsmodul20 15 startet das ^ferbindungsprogramm 12 das gewahlte War- 

einen sitzungsabhangigen Schliissel, der auch die ermittelte tungsprogranun 14 (Datenstrom 88) und meldet dessen Pto- 

ZugrinsberechUgungsslufe anzeigt. Dieser Schlussel wird zeBbezeichner an das Oberwachungsmodul 20 (DaLenslrom 

in Form eines JAVA-Scripts und evtl. eines JAVA-Applets in 90). Das tJberwachungsmodul 20 vermerkt diesen ProzeB- 

den lemponiren Rahiuen 46 geladen, wobei das JAVA-Scaript bezeichn<^ in dem Verzeichnis 22. DamiL ist der in Fig. 2 ge- 

bzw. das JAVA-Applet seinerseils eine in dem stalischen 20 zeigLe Zusiand 64 eireichL AUerdings sind in dem beschrie- 

benen Ausluhrungsbeispiel die Zustande 62 und 64 nicbl 



Rahmen 44 enthalLene Variable enUprechend setzL 
[0039] Dct Browser 40 bniuchl nichl lokal an den Server 
10 angeschlossen zu sein. Beispielsweise kaim in einer Aus- 
fiihrungsaltemative die Kommunikation zwischen dem Ser- 
ver 10 und dem Browse 40 Uber eine PPP-Modemveibin- 
dung erfolgen. Die Authentifizierung des Benutzers findet 
dann schon beim Aufbau der PPP-Verbindung statt, so dafi 
zum Starten der Benutzeroberflache keine weitete Kenn- 
worteingabe erforderlich ist. Dies wird beim Starten des 



slreng getrennl, denn es isl moglich, wie in F^. 1 darge- 
stellt, mdireie Wartungspiogramme 14 zu starten und paral- 
lel Oder quasi-parallel ablaufen zu lassen. 
2S [0045] Endet das Wartungsprogramm 14, ohne daB der 
Benutzer einen Abbruchbefehl gegeben hat, dann wird dies 
an das Verbindungsprogramm 12 gemeldet (Datenstrom 92 
in Fig, 3). Der Endstatus des Waitungsprogramms 14 wird 
ilh& den Server 10 an den Browser 40 weitergegeben (Da- 



Browsers 40 durch das Startprogramm 24 festgesteUt, das 30 tensirSme 94 und 96). AuB^dem Informix das Veibin- 

dafiir soigt, daB dem Browser 40 unmittelbar die HTML- dungsprogramm 12 das tJberwachungsmodul 20 (Daten- 

Wartungsseite sowie der sitzungsabhSngige SchlOssel Uber- strom 98), das den ProzeBbezeichner des beendeien War- 

mitielt werden (Zustand 60). tungsprogramms 14 aus dem Verzeichnis 22 streicht 

[0040] Der in dem statischen Rahmen 44 der HTML-War- [0046] Neben dem gerade beschriebenen, durch das War- 

tungssdte gespeichote wSchliissel beeinfluBt den weiteren 35 tungsprogramm 14 selbst bewiricten Programmende kann 

A1»1aii4^ XWT— . ■ • I ^1 _ • TV* • • . r-m . ... . . . 
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Ablauf des Wartungsvoigangs in mehrerld Hinsicht, Zu- 
nachst kdimen in den wShiend des wdteren Ablaufs vom 
Servo: 10 an den Browser 40 ubomittelten HTMLr^Datden 
JAVASCRTPT-Programmc odor JAVA-ApplcLs cnthaltcn 
sein, die die (lestaltung der dem Benutzer angezeigten Sei- 
tcn in Abhangigkeit von der Zugriffsbcrcchtigungsstufc vcr- 
andcm. BcispicLswcisc kann voTgcschcn sein, daB nur bei 
bcstimmtcn Zugrifl^bcrcchdgungsstufcn cinzclnc Scitcn in 
dem sichtharcn Rahmen 42 angczcigt warden odcr cinzclnc 
Funktionen durch den Benutzer wahlbar sind. tlberdies wird 45 
der Schliissel wiederholt an den Server 10 iibertragen und 
dieat dort als Kennwort Das eigentliche Bcnutzerkennwort 
braucht daher nur einmal bei der Authentifiziemng eingege- 
hcn zu werden, auch wenn der Server 10 ofters ein Kenn- 
wort anfordert. Die serverseitigen Komponenten des Sy- 
stems verwenden den Schlussel femer, um die an den 
Browser 40 ubertragenen IITMl^Daten dynamisch an die 
Zugriffsbanechtigung des Benutzers und an die augenblick- 
liche Freigabestufe des zu bedienenden Gerates anzupassen. 



der Benutzer durch Anwahlen einer in dem sichtbaren Fen- 
ster 42 gezeigten Befehlsflache einen Befehl zum regularen 
Abbrechen eines, einiger oder aller Wartungsprogramme 14 
sowic der zugcordnctcn Vcrbindungsprogrammc 12 gcbcn 
("abort-Befehl"). Die Programme werden dadurch "sauber*' 
abgcschlosscn und hocndcL Dicscr Vorgang ist in Fig, 4 ge- 
nauer dai^stcllt. 

[0047] Wicdcr wird der vom Benutzer gcgcbcnc Abbruch- 
befehl an den Server 10, dann ubcr die CGT-Schnittstcllc an 
das Abbruchprogramm 30 und von dort an das Uberwa- 
chungsmodul 20 iibermittelt (Datenstrome 100, 102 und 
104). Soil beispielsweise ein einziges Wartungsprogramm 
14 abgebrochen werden, so bestimmt das Uberwachungs- 
modul 20 dessen ProzeBbezeichner sowie das zugehorige 
50 Verbindungsprogramm 12. Eine geeignete Abbruchanforde- 
rung wird nun an dieses Verbindungsprogranun 12 und das 
Wartungsprogramm 14 gesendct (Datenstrome 106 und 
108). Damit ist der Zustand 66 in Fig. 2 erreicht. 
[0048] Wenn das Wartungsprogramm 14 auf die Abbru- 



[0041] Als nachster Schritt des Systemablauft wild der 55 chanforderung korrekt reagiert, so beendet es sich und gege- 



mit dem statischen, verborgoien Rahmen 44 an den 
Browse: 40 ubertragene Ping-RozeB 48 gestartet und somit 
der Zustand 62 eneicht. Von nun an sendet der Ping-PiozeB 
48 fortwahrend in vorbestimmten Zeitabstanden Ping-Nach- 
richten uber die Schnittstelle 32 an den Server 10. Jede ^- 
haltene Ping-Nachricht bewirict einen Aufruf des Ping-Pro- 
gramms 28 iiber die CXjl-Schnittstelle des Servers 10, das 
seinerseits eine entsprechende Meldung uber IPC an das 
Oberwachungsmodul 20 sendet Auf die Auswertung der 
emp£angenen Ping-Meldungen wird spater eingegangen. 
[0042] In dem zentralen Zustand 62 werden dem Benutzer 
in dem sichtbaren Rahmen 42 geeignete Informadonen an- 
gezeigt und, je nach der Zugriflsberechligungsstufe des Be- 
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benenfalls auch einen zugeordneten SteuerprozeB 16 und 
meldet dies an das Verbindungsprogramm 12 (Datenstrom 
HO), das seinersdts das Uberwachungsmodul 20 informiert 
(Datenstrom 112) und sich dann ebenfails beendet Ein Zeit- 
fehler beim Abbrechen wird ericannt, wenn die Abbruchbe- 
statigung nicht innerhalb eines vorbestimmten Zeitraumes 
bei dem Uberwachungsmodul 20 eintriflft (Zustand 68 in 
Fig. 2). In diesem Fall fiihrt das Uberwachungsmodul 20 ei- 
nen erzwungenen Programmabbruch durch, indem es einen 
entsprechenden Befehl (*'kill"-Befehl) an das Verbindungs- 
programm 12 und das Wartungsprogramm 14 sendet. 
[0049] Das Ergebnis des regularen oda: erzwungenen Ab- 
bruchs wird vom tJberwachungsmodul 20 an das Abbruch- 
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programm 30, den Server 10 und den Browser 40 gemeldet 
(Datenstrome 114, 116 und 118). Das Obeiwachungsmodul 
20 loscht dabei das abgebrochene Programm aus seinem 
Verzeichnis 22. 

[0050] Der hier am Beispiel eines Programmabbruchs dar- 5 
gestellte Mechanismus kann allgemein verwendet werden, 
um iaufenden Wartungsprogrammen 14 Eingabedaten zu 
ubeniiideln und somit eine interaktive Bedienung eines Fro- 
gramms iiber einen Browser 40 zu erlauben. Grundprinzip 
ist es dabei, die Eingabedaten dem Dberwachungsmodui 20 lO 
iiber cin vom Server 10 aufgerufenes Programm, vorzugs- 
weise ein CGI-Programm, zuzuleiten. Letzteres stellt fest, 
fur welches der gerade aktiven Programme die Eingabeda- 
ten bestimmt sind, und leitet sie, gegebenenfalls iiber ein 
diesem Programm zugeordnetes Verbindungsprogramm, IS 
dorthin weiter. 

[00511 Wahrend das WarlungssysLem aktiv ist und der 
Piog-ProzeB 48 des Browsers 40 lauft, also in den in Fig, 2 
gezeigten Zustanden 62 bis 68, uberpriift das Oberwa- 
chungsiiLodul 20 laufend, ob die letzle eingegangene Ping- 20 
Meldung noch nicht langer als eine vorgegebene Zeildauer 
zuruckliegL Ein Ausbleiben der Ping-Meldungen bei deui 
Oberwachungsmodul 20 (Ping-Zeitfehler) zeigt eine Fehl- 
fiinktion an, typischerweise einen Absturz eines Rechners, 
einen Progranmiabbruch oder ein 2^sammenbrechen der 25 
Kommunikationsverbindung zwischen dem Server 10 und 
dem Browser 40 (Zustand 70), 

[0052] Wird ein Ping-Zeitfehler vom tJberwachungsmo- 
dul 20 erkannt, so beendet dieses alle akdven Verbindungs- 
programme 12 und Wartungsprogramme 14 auf die oben be- 30 
schriebene Weise, so als ob vom Benutzer ein Befehl fUr den 
regulSren Abbnich aller aktiven Programme gegeben wor- 
den wSre. Das System geht in den Zustand 52 Uber und war- 
tet auf einen neuen StartbefehL 

[0053] Das tJberwachungsmodul 20 ist in dem beschrie- 35 
benen System ein zeniraler ProzeB, der Zugriff auf alle In- 
formationen iiber den gegenwartigen Systemzustand hat. 
Daher kann das t Jberwachungsmodul 20 eine Reihe weite- 
rcr Aufgabcn crfiillcn. Bcispiclswcisc kann sich die Frciga- 
bestufe des zu bedienenden (derates wahrend des Wartungs- 40 
vorgangs andcm. Das t)bcrwachung5?modul 20 cntechcidct 
daraufhin, wclchc der gcradc aktiven Wartungsprogramme 
14 wcitcrhin ausgcfuhrt wcrdcn diirfcn. Gegebenenfalls 
bricht das Uberwachungsmodul 20 die nicht langer ablauf- 
berechtigten Wartungsprogramme 14 auf die oben darge- 4S 
stellte Weise ab. 

[0054] Das erfindungsgemaBe System, das in dem hier be^ 
schriebenen Ausfuhrungsbeispiel als Wartungssystem fur 
ein medizinisches Gerat voigesehen ist, ist ebenso zur 
Steuerung, IHnstellung, Wartung, Anpassung oder Oberwa- 50 
chung aller Arten von technischen GerMten einsetzbar. Zur 
Verbindung zwischen dem Server 10 und dem Browser 40 
konnen alle geeigneten Kommunikationsmittei, beispiels- 
weise auch das Internet oder ein Intranet, eingesetzt werden. 
[0055] In bevorzugten Ausgestaltungen der Erfindung 55 
werden die dem Benutzer angezeigten HIML-Seiten an 
dessen Zugiiffsberechtigung dynamisch angepaBt Interak- 
tive Funktionen, wozu insbesondere die Moglichkeit gehort, 
iaufende Prozesse jederzeit und mit geringer Verzogerung 
abbrechen zu konnen, werden vorzugsweise dadurch bereit- CO 
gestellt, dafi uber das Oberwachungsmodul eine interaktiv- 
bidirektionale Verbindung zwischen der Benutzeroberflache 
und dem Iaufenden ProzeB aufxechterhalten wird. Zwar wer- 
den bevorzugt HTML-Dokumente zur Implementierung der 
Benutzeroberflache verwendet; es sind jedoch auch andere 65 
Seitenbeschreibungssprachen einsetzbar. Ebenso konnen 
statt bekannter WWW-Server und WWW-Browser andere 
Server und Browser benulzt werden. 



Patentanspruche 

1. Vorrichtung zum Bedienen eines Gerates, mit 

- einem Server (10), der dazu eingerichtet ist, 
Daten an einen anschliefibaren Browser (40) zu 
senden und von diesem zu empfangen, um dutch 
den anschlieBbaren Browser (40) eine Benutzer- 
oberflache zum Bedienen des Gerates bereitzu- 
stellen, 

- einem serverseiug vorgesehenen tJberwa- 
chungsmodul (20) zum Ausfuhren von Oberwa- 
chungs- und Verwaltungsaufgaben, 

- serverseitig vorgesehenen Mitteln (24, 26, 28, 
30) zur Kommunikation zwischen dem Server 
(10) und dem tJberwachungsmodul (20), 

- mehreren Steuer-, Wartungs- und/oder tJberwa- 
chungsprognmuuen (14, 16), und 

- serverseidg vorgesehenen Mitteln (12) zur 
Koimnunikadon zwischen den Steuer-, Warlungs- 
und/oder tJberwachungsprograimnen (14, 16) ei- 
nerseits sowie dem Server (10) und/oder dem 
tJberwachungsmodul (20) andererseils, wobei 

- das tJberwachungsmodul (20) dazu eingerich- 
tet ist, ein Verzeichnis (22) der jeweils aktiven 
Steuer-, Wartungs- und/oder tJberwachungspro- 
gramme (14, 16) zu speichem und laufend zu ak- 
tualisieren. 

2. Vorrichtung nach Anspruch 1, dadurch gekenn- 
zeichnet, dass das tJberwachungsmodul (20) und/oder 
ein vom Server (10) aufgerufenes Authentifizierungs- 
programm (26) dazu eingerichtet ist/sind, eine Authen- 
dfizierung (58) eines Benutzers durchzufUhren. 

3. Vorrichtung nach Anspruch 1 oder Anspruch 2, da- 
durch gekennzeichnet, dass ein vom Server (10) aufge- 
rufenes Verbindimgsprogramm (12) dazu eingerichtet 
ist, bei dem tJberwachungsmodul (20) eine Anfirage 
hinsichtlich der Berechtigung eines Benutzers zum 
Starten eines der Steuer-, Wartungs- und/oder tlb^wa- 
chungsprogrammc (14, 16) durchzufUhren und gegebe- 
nenfalls dieses Steuer-, Wartungs- und/oder tJb^rwa- 
chungsprogramm (14, 16) zu starten. 

4. Vorrichtung nach cincm der Anspriichc 1 bis 3, da- 
durch gekennzeichnet, dass das tJberwachungsmodul 
(20) und/oder cin vom Server (10) aufgerufenes Pin'g- 
Programm (28) dazu eingerichtet ist/sind, das Ausblei- 
ben periodischer, vom Server (10) empfangener Ping- 
Nachrichten festzusteUen und daraufhin zu veranlas- 
sen, daB alle akdven Steuer-, Wartungs- und/oder 
tJberwachungsprogramme (14, 16) abgebrochen wer- 
den. 

5. Varrichtung nach ^nem der Anspriiche 1 bis 4, da- 
durch gekennzeichnet, dass das tJberwachungsmodul 
(20) und/oder ein vom Server (10) aufgerufenes Ab- 
bmchpiogramm (30) dazu eingerichtet ist/sind, als Re- 
aktion auf eine vom Server (10) empfangene Abbruch- 
nachricht zu veranlassen, daB mindestens eines der 
Steuer-, Wartungs- und/ oder tJberwachungspro- 
gramme (14, 16) sowie gegebenenfalls ein zugeordne- 
tes Verbindungsprogramm (12) abgebrochen wild. 

6. Vorrichtung nach ^em der Anspriiche 1 bis 5, da- 
durch gekennzeichnet, dass das tJberwachungsmodul 
(20) und/oder ^n vom Server (10) aufgerufenes Pro- 
gramm dazu eingerichtet ist/sind, eine vom Server (10) 
empfangene Nachricht an ein zugeordnetes Steuer-, 
Wartungs- und/oder tJberwachungsprogramm (14, 16) 
weiterzuleiten. 

7. Vorrichtung nach einem der Anspriiche 1 bis 6, da- 
durch gekennzeichnet, dass die vom Server (10) aufge- 
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rufenen Programme (12, 24, 26, 28, 30) CGI-Pro- 
gramme sind 

8. Vorrichtung nach einem der Anspriiche 1 bis 7, da- 
durch gekennzeichnet, dass die vom Server (10) uber 
die Schnittstelle (32) gesendeten und empfangenen Da- 5 
ten irrML-Daten sind, 

9. Voirichtung nach einem der Anspriiche 1 bis 8, mil 
einem an den Server (10) iXb&r eine Schnittstelle (32) 
angeschlossenen Browser (40), der eine Benutzerober- 
flache rum Bedienen des Gerates bereitstellL 10 

10. Vorrichtung nach Anspruch 9, dadurch gekenn- 
zeichnet, dass der Browser (40) dazu eingerichtet ist, 
einen Ping-ProzeB (48) auszufuhren, der periodisch 
eine Ping-Nachricht an den Servo: (10) sendet. 

11. Verfaliren zum Bedienen eines Gerates, mit den 15 
Schritten: 

a) Empfangen einer von einem Browser (40), der 
eine Benutzerschnittstelle zum Bedienen des Ge- 
rates bereilstellL, sLammenden Nachricht durch ei- 
nen Server (10), 20 

b) Aulruf eines Programms (12, 24, 26, 28, 30) 
durch den Server (10), 

c) Kommumkarion des vom Server (10) aufgexu- 
fenen Programms (12, 24, 26, 28, 30) mit einem 
serverseitig vorgesehenen, zum AusfUhren von 25 
Uberwachungs- und Verwaltungsaufgaben die- 
nenden Dberwachungsmodul (20), 

d) Aufruf Oder Abbiechen eines Steuer-, War- 
tungs- und/oder Uberwachungsprogramms (14, 
16) durch das vom Server (10) aufgerufene Pro- 30 
gramm (12, 24, 26, 28, 30) oder das tJberwa- 
chungsmodul (20), und 

e) Aktualisieren eines Verzeichnisses (22) der ak- 
tiven Steu^-, Wartungs- und/oder tJberwa- 
chungsprogramme (14, 16) durch das llberwa- 35 
chungsmodul (20). 
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